Segurança de E-commerce para PMEs: o Guia Prático

Loja virtual pequena tem uma característica que a diferencia de qualquer outro tipo de PME: ela processa pagamento e guarda dados de consumidor em volume, com uma superfície pública exposta vinte e quatro horas por dia. O resultado é que ela herda, em escala reduzida, um conjunto de exigências que nasceu para varejo grande, e quase sempre sem ninguém dedicado a cuidar disso.

A boa notícia é que a maior parte do risco pode ser transferida por decisão de arquitetura, e não por gasto. Este guia trata de quem responde pelo quê em cada tipo de loja, de qual regra de cartão realmente se aplica ao seu caso, dos dois ataques que mais atingem quem vende online no Brasil e das obrigações legais que valem para o comércio eletrônico. Ele complementa o checklist de segurança para PMEs na parte específica de quem vende pela internet.

Quem Responde pelo Quê: a Divisão que Muda Tudo

Antes de qualquer controle, é preciso saber onde termina a responsabilidade do fornecedor e começa a sua. Essa fronteira é a decisão mais importante do artigo, porque ela define o tamanho do trabalho.

Loja apenas em marketplace

Se você vende só em marketplace, a plataforma cuida da aplicação, do pagamento e da infraestrutura. A sua exposição se concentra em um único ponto: a conta de vendedor. Comprometida, ela permite alterar dados bancários de repasse, baixar a base de compradores e prejudicar a reputação construída ao longo de anos. Segundo fator obrigatório nessa conta, com senha exclusiva, é praticamente a totalidade do trabalho de segurança nesse cenário, e é surpreendente quantos vendedores não o fazem.

Plataforma de loja gerenciada

Em plataformas de loja como serviço, o fornecedor cuida de servidor, atualizações do núcleo e certificado. Sobram para você quatro frentes: contas de administrador da loja, aplicativos e integrações instalados, scripts de terceiros no tema e o conteúdo. Aplicativo instalado é o item mais negligenciado, porque cada um recebe permissões amplas sobre pedidos e clientes e continua ativo depois que deixa de ser usado. Faça uma revisão semestral e remova o que não estiver em uso.

Loja auto-hospedada

WordPress com WooCommerce, Magento ou aplicação própria em servidor seu. Aqui tudo é responsabilidade da empresa: sistema operacional, servidor web, banco, núcleo da aplicação, tema, extensões e monitoramento. Em lojas WordPress, a origem dominante de comprometimento não é o núcleo, é a extensão desatualizada ou abandonada pelo autor. Se ninguém na empresa tem rotina para aplicar atualização em até poucos dias, essa arquitetura é uma escolha cara disfarçada de barata.

PCI DSS sem Pânico: Qual Questionário é o Seu

O PCI DSS é o padrão de segurança das bandeiras de cartão e se aplica a qualquer estabelecimento que aceite cartão, sem exceção por porte. O que varia é a profundidade da comprovação, definida pelo questionário de autoavaliação, o SAQ, que corresponde à sua forma de integração.

Para uma PME, o cenário desejável é o SAQ A, que se aplica a quem terceiriza integralmente as funções de pagamento para um provedor validado, seja por redirecionamento completo, seja por formulário hospedado pelo provedor dentro de um iframe. É a lista mais curta de requisitos e a que menos exige da sua infraestrutura.

À medida que a sua página passa a controlar o formulário de cartão, ainda que os dados sigam direto para o provedor, o enquadramento se desloca para questionários mais extensos, e se o número do cartão chega a tocar o seu servidor, o escopo cresce de forma que raramente compensa para uma loja pequena. Confirme o seu enquadramento com o adquirente ou o gateway, porque é ele quem cobra a comprovação de você.

Uma mudança recente merece atenção mesmo de quem está no SAQ A. Os requisitos 6.4.3 e 11.6.1 da versão 4.0 do padrão, que passaram a ser obrigatórios a partir de 31 de março de 2025, tratam especificamente dos scripts carregados na página de pagamento: exigem inventário e justificativa de cada script e um mecanismo de detecção de alteração não autorizada na página. Eles existem por causa do ataque da próxima seção.

O Ataque que Ninguém Vê: Skimming no Checkout

O roubo de dados de cartão em loja virtual raramente acontece por invasão do banco de dados. Acontece por injeção de um trecho de JavaScript na página de checkout, que copia o que o cliente digita e envia para um servidor do atacante. A compra é concluída normalmente, o cliente recebe o produto, o lojista recebe o dinheiro e nada parece errado. O golpe roda por semanas ou meses.

Os caminhos de entrada mais comuns em loja de PME são três: um script de terceiro carregado no tema, tipicamente uma ferramenta de análise ou de chat cuja origem foi comprometida; uma extensão ou aplicativo desatualizado; e uma conta de administrador da loja tomada por credencial roubada.

As defesas proporcionais para uma empresa pequena são igualmente três. Primeira, saber quais scripts a sua página de checkout carrega, o que é literalmente uma lista e é o que o requisito 6.4.3 pede. Segunda, remover tudo o que não tiver justificativa, especialmente scripts de marketing na página de pagamento. Terceira, monitorar alteração: existem serviços que verificam periodicamente se o conjunto de scripts da página mudou, e mesmo uma checagem manual mensal já é infinitamente melhor do que nenhuma. O monitoramento contínuo de sites cobre esse tipo de vigilância externa.

Teste de Cartão e Chargeback: a Fraude que Chega pelo Checkout

Há um padrão que assusta lojistas pequenos e é frequentemente mal interpretado: uma enxurrada de tentativas de compra de valor baixo, muitas recusadas, em poucos minutos. Não é um ataque contra a sua loja, é o uso da sua loja como ferramenta. Fraudadores testam listas de cartões roubados em checkouts abertos para descobrir quais números ainda funcionam, e depois usam os validados em outro lugar.

O prejuízo é real mesmo sem venda concretizada: taxa por transação processada, taxa por contestação e o risco de a loja ser sinalizada pelo adquirente por índice anormal de recusa. As defesas são de configuração, não de compra: limitar tentativas por sessão, por origem e por cartão, exigir desafio antes da submissão do pagamento, e ativar as regras antifraude que o próprio gateway oferece e que muita loja mantém no padrão mais permissivo.

Para a fraude de compra propriamente dita, aquela em que o produto é entregue e depois contestado, o mecanismo mais relevante é a autenticação do portador na transação, conhecida como 3-D Secure na sua versão moderna, suportada pelos adquirentes brasileiros. Além de reduzir a fraude, ela desloca a responsabilidade pelo chargeback em transações autenticadas, o que muda a conta do lojista. Vale conversar com o seu adquirente sobre habilitá-la, e tratamos o tema de forma mais ampla no artigo sobre golpes contra PMEs.

A Conta do Cliente é um Alvo, e o Prejuízo é Seu

Contas de clientes em loja virtual guardam endereço, histórico de pedidos, cartões tokenizados e, em alguns casos, saldo ou pontos. Como muita gente reutiliza senha, listas de credenciais vazadas em outros serviços são testadas em massa nas lojas, prática conhecida como credential stuffing.

O ponto que costuma passar despercebido é que o prejuízo reputacional é do lojista. O cliente que teve a conta acessada não vai concluir que reutilizou a senha, vai concluir que a sua loja vazou. As medidas proporcionais são limitação de tentativas de entrada, desafio após falhas repetidas, oferta de segundo fator para o cliente e alerta por e-mail quando o endereço de entrega ou a senha mudarem. A conversa sobre reutilização de senha e o que fazer a respeito está no artigo sobre gerenciadores de senhas.

O que a Lei Brasileira Exige da Sua Loja

Duas frentes, e nenhuma delas é opcional.

Comércio eletrônico. O Decreto nº 7.962/2013 regulamenta o Código de Defesa do Consumidor para a contratação no comércio eletrônico e exige que o site apresente de forma clara e ostensiva a identificação do fornecedor, com CNPJ e endereço físico, informações completas sobre o produto e sobre o contrato, canal de atendimento eletrônico com confirmação do recebimento das demandas, e o cumprimento do direito de arrependimento previsto no art. 49 do CDC, com prazo de sete dias. São exigências de transparência, mas na prática funcionam também como sinal de legitimidade que diferencia a sua loja das lojas falsas que copiam catálogos.

Proteção de dados. Loja virtual trata dados pessoais em volume, o que a coloca no centro da LGPD: base legal por finalidade, política de privacidade que descreva o tratamento real, canal para exercício de direitos do titular e comunicação de incidente à ANPD nos prazos da regulamentação vigente. Vale prestar atenção ao enquadramento: o regime simplificado da Resolução CD/ANPD nº 2/2022 não alcança quem realiza tratamento de alto risco, e uma loja com base grande de clientes pode não se enquadrar. O caminho está detalhado no guia de adequação à LGPD para pequenas empresas.

Uma nota sobre o que não se aplica: as regras do decreto de serviço de atendimento ao consumidor por telefone, que fixam tempos de espera e horários, alcançam serviços regulados por agências federais, e não o comércio eletrônico em geral. É um ponto em que muito conteúdo de mercado erra, e cumprir obrigação que não existe custa dinheiro tanto quanto descumprir a que existe.

Perguntas Frequentes

Conclusão

Segurança de e-commerce em empresa pequena não se resolve com investimento pesado, se resolve com três decisões e uma rotina. A primeira decisão é arquitetural: manter o dado do cartão fora da sua infraestrutura, o que encolhe o escopo de conformidade e elimina a pior classe de vazamento. A segunda é de acesso: segundo fator obrigatório em toda conta administrativa, da plataforma ao marketplace, porque é por ali que o skimming entra. A terceira é de inventário: saber quais scripts, aplicativos e integrações rodam na sua loja, e remover os que não têm justificativa. A rotina é olhar isso de novo a cada seis meses, porque loja virtual acumula integração como gaveta acumula papel. Feito isso, sobra o trabalho comercial de calibrar antifraude, e esse é um problema muito melhor de se ter.